Spesa cyber, così l’Italia può fare di più e meglio

La recente eco mediatica sollevata dall’analisi del bilancio della Difesa ha portato all’attenzione dell’opinione pubblica un tema cruciale, spesso relegato ai tavoli tecnici degli addetti ai lavori: il peso reale della cybersicurezza negli investimenti militari del nostro Paese. Il titolo di un noto quotidiano, che evidenziava come su 22 miliardi di euro destinati agli armamenti solo una minima frazione (circa 200 milioni) fosse dedicata alla sicurezza informatica, ha generato interrogativi legittimi. In un’epoca in cui i conflitti si vincono o si perdono sulle reti prima ancora che sul campo di battaglia, l’Italia sta forse sottovalutando il quinto dominio?

Per rispondere a questa domanda con il rigore istituzionale che la materia impone, è necessario andare oltre la polarizzazione giornalistica, immergendosi nelle pieghe del Documento Programmatico Pluriennale (DPP) 2026-2028 e della Legge di Bilancio. Solo un’analisi lucida dei dati, confrontata con i benchmark internazionali e calata nell’attuale, complessissimo scenario geopolitico, può restituirci una fotografia fedele delle nostre reali capacità di resilienza e delle aree di miglioramento su cui è urgente intervenire.

L’anatomia del bilancio della Difesa e la cyber: oltre l’apparenza dei numeri

Leggendo in controluce l’Annesso al DPP 2026-2028, i numeri citati dalla stampa trovano effettivamente riscontro, ma necessitano di una contestualizzazione tecnica profonda. Nel triennio in esame, i programmi di investimento dedicati in modo “puro” ed esclusivo alla cybersecurity – incardinati nel Settore 6 (Comando, Controllo, Digitalizzazione ed Info-struttura) – sono complessivamente 154,6 milioni di euro. Se a questi sommiamo i circa 43,2 milioni destinati al mantenimento in efficienza delle reti C5I (Comando, Controllo, Comunicazioni, Computer, Cyber e Informazioni) dell’Esercito Italiano, raggiungiamo la cifra di circa 198 milioni di euro nel triennio. Una media, dunque, di circa 66 milioni di euro l’anno.

A fronte di investimenti complessivi della Difesa programmati per 39 miliardi di euro nel triennio (di cui oltre 22 miliardi per piattaforme terrestri, navali e aeree), la proporzione può apparire disarmante. Lo stanziamento per i programmi puramente cyber rappresenta appena lo 0,4% del totale degli investimenti.

Tuttavia, l’approccio di un esperto di settore impone di considerare un fattore attenuante fondamentale: la cosiddetta Embedded Cyber, ovvero la sicurezza concepita by design all’interno dei sistemi d’arma complessi. Progetti faraonici come il caccia di sesta generazione GCAP, i sottomarini U212, le nuove fregate o l’infrastruttura Defence Cloud, incorporano già al loro interno avanzati requisiti di protezione cibernetica. La cifra di 200 milioni, dunque, non fotografa l’intero sforzo cyber della Difesa, ma solo quello “verticale”, destinato agli assetti specializzati di contrasto, difesa delle reti e cyber warfare.

Eppure, pur concedendo questa attenuante tecnologica, l’analisi del trend interno ai programmi dedicati rivela una dinamica che deve far riflettere: si passa dai 76,9 milioni del 2026 ai 57,9 milioni del 2028. Una flessione che, ad avviso di chi scrive, mal si concilia con l’escalation esponenziale della minaccia.

La lente geopolitica: il rischio di un approccio “asimmetrico”

Ci troviamo in un decennio, inaugurato dalle turbolenze del triennio 2022-2025 e oggi nel pieno di una riorganizzazione globale, in cui la dottrina della Hybrid Warfare (la guerra ibrida) ha cancellato il confine tra dimensione fisica e logica. Le infrastrutture critiche militari e civili sono costantemente sotto attacco da parte di attori statuali (Advanced Persistent Threats) e proxy non governativi.

In questo scenario, il dominio cibernetico non è più soltanto uno strumento di supporto (come lo era la crittografia nel Novecento), ma un vero e proprio teatro operativo in cui si cerca la superiorità strategica. L’entrata in vigore della Direttiva NIS2 a livello europeo ha innalzato l’asticella della resilienza per tutti i settori critici, imponendo standard severi. Il rischio che l’Italia corre oggi è quello di una perniciosa asimmetria: dotarsi delle piattaforme cinetiche più avanzate del mondo (caccia di quinta e sesta generazione, navi digitalizzate, sensori spaziali), ma lasciarle esposte a colli di bottiglia e vulnerabilità infrastrutturali a livello di Comando e Controllo, qualora le reti che le governano non godano di una copertura finanziaria e organica altrettanto formidabile.

Spesa cyber, il confronto europeo: una questione di proporzioni

È guardando ai nostri principali alleati europei che la portata della sfida italiana si delinea con maggiore chiarezza. Non si tratta solo di misurare i valori assoluti (inevitabilmente legati al PIL e alla spesa complessiva delle singole nazioni) ma di osservare il “peso specifico” percentuale che la Difesa Cyber riveste nei rispettivi bilanci.

La Francia, attraverso la sua Loi de Programmation Militaire 2024-2030, ha destinato 4 miliardi di euro in via esclusiva alla cyberdéfense. Ciò si traduce in circa 571 milioni di euro l’anno. Se rapportiamo questa cifra al budget annuale francese per la Difesa (circa 59 miliardi), scopriamo che l’Eliseo investe nel cyber puro quasi l’1,0% del proprio bilancio militare. L’Italia, con i suoi 51,5 milioni annui di spesa puramente cyber a fronte di un bilancio ordinario di quasi 39 miliardi, si ferma allo 0,13%. In termini proporzionali, lo sforzo francese è oltre sette volte superiore a quello italiano.

Dinamiche simili si osservano nel Regno Unito, dove la recente revisione strategica ha allocato un pacchetto di 1 miliardo di sterline (circa 1,17 miliardi di euro) solo per la costituzione e l’avvio del nuovo CyberEM Command, a cui si sommano investimenti paritetici per la Digital Targeting Web. Persino la Spagna, pur con un bilancio militare complessivo inferiore a quello italiano, ha recentemente canalizzato quasi 700 milioni di euro sotto l’egida esclusiva del proprio Comando congiunto del cyberspazio (MCCE).

Questa disparità si riflette drammaticamente anche sul “capitale umano”. Mentre nazioni come la Germania (con il comando CIR) e la Polonia hanno istituito veri e propri eserciti digitali composti da 6.000 a 15.000 effettivi, in Italia il Comando per le Operazioni in Rete (COR) viaggia verso un target a regime sensibilmente inferiore. Senza risorse umane formate, trattenute in servizio con retribuzioni competitive e costantemente aggiornate, anche l’infrastruttura tecnologica più avanzata rischia di rivelarsi inefficace.

Cosa insegnano i benchmark internazionali

Se volgiamo lo sguardo agli standard internazionali dettati da enti governativi, centri di ricerca (come RAND Corporation e GAO) e agenzie di consulenza strategica (Gartner), emergono parametri chiari su quale dovrebbe essere l’equilibrio finanziario di un’architettura di sicurezza moderna.

Nelle amministrazioni civili e nelle aziende, la regola aurea suggerisce di destinare alla cyber una forchetta media che va dal 5 al 10% del budget ICT. Per organizzazioni esposte a minacce nation-state come la Difesa, le raccomandazioni del NIST e le prassi del Pentagono alzano l’asticella tra il 15% e il 25%. Nel nostro DPP, l’intero Settore 6 dedicato a C2, digitalizzazione ed info-struttura vale 1,9 miliardi di euro nel triennio. I 154,6 milioni di programmi cyber vi incidono per circa l’8,1%. Siamo, di fatto, più o meno nella soglia media civile.

Studi del Government Accountability Office (GAO) statunitense indicano che, affinché lo sviluppo capacitivo sia resiliente, i fondi di R&S nei settori digitali dovrebbero dedicare quote comprese tra il 10% e il 25% al dominio cibernetico (in linea con i bandi dell’European Defence Fund). Attualmente, la spesa cyber italiana pesa per meno del 4% dell’aggregato R&S e digitalizzazione del Ministero.

Prospettive sulla spesa cyber italiana: che fare

Non vi è dubbio che la Difesa stia compiendo sforzi immensi per ammodernare lo Strumento Militare in anni di oggettiva ristrettezza economica e di regole di bilancio europee stringenti. Il Ministero ha giustamente riconosciuto, nelle proprie Note Integrative, l’importanza del dominio cibernetico, cognitivo e spaziale, ponendoli come priorità politiche (PP3 e PP9).

Tuttavia, affinché queste pregevoli dichiarazioni di intenti si trasformino in concreta deterrenza e resilienza, è necessario un coraggioso cambio di paradigma nella tecnica legislativa e programmatoria. La cybersicurezza non può più essere considerata una “tassa” occulta o un mero accessorio informatico spalmato orizzontalmente qua e là nei meandri della logistica o del supporto al combattimento.

Per competere negli scenari futuri, si suggeriscono tre direttrici di intervento correttivo:

1. un fondo cyber centralizzato e strutturale: così come esistono fondi pluriennali destinati ai grandi programmi d’arma convenzionali, il Paese necessita di una dotazione finanziaria “verticale” esplicita e corposa, dedicata all’evoluzione delle capacità offensive e difensive nel cyberspace, allineandosi proporzionalmente (intorno all’1% del bilancio totale) agli standard dei peer europei.
2. incentivi al capitale umano specialistico: le risorse puramente economiche per gli stipendi (come i 261mila euro annui stanziati per le indennità cyber dell’Arma dei Carabinieri) sono un primo passo, ma occorre una manovra su larga scala a livello interforze. Trattenere ingegneri, analisti SOC, esperti di threat intelligence ed ethical hacker nelle Forze Armate richiede meccanismi retributivi sganciati dai rigidi inquadramenti gerarchici tradizionali.
3. trasparenza del perimetro “embedded”: sarebbe auspicabile che i futuri Documenti Programmatici esplicitassero, all’interno dei grandi progetti d’arma (dai carri armati alle navi), quale percentuale esatta è destinata allo sviluppo dell’architettura cyber-resilient di quel sistema. Ciò permetterebbe di valutare lo sforzo nazionale reale in modo più aderente alla realtà e di rispondere con solidità numerica ai rilievi dell’opinione pubblica.

L’Italia dispone già delle competenze industriali, della qualità accademica e della professionalità militare necessarie per presidiare con autorevolezza il dominio cibernetico, così come di una visione strategica che riconosce pienamente la centralità delle minacce ibride.

Il passo successivo, oggi, consiste nel tradurre questa consapevolezza in una programmazione finanziaria sempre più allineata alle sfide operative contemporanee: affiancare al necessario rinnovamento delle piattaforme tradizionali un rafforzamento strutturale e dedicato delle risorse per la cyber-difesa permetterà allo Strumento Militare di proteggere la propria superiorità tecnologica e di consolidare il ruolo del Paese nel sistema di sicurezza euro-atlantico.